LXC trifft Docker? Und andere Fragen zu Proxmox 9.1

Proxmox VE 9.1 ist gerade erschienen, und wie immer bringt das Update mehr mit als eine höhere Versionsnummer. Wer die Diskussionen online verfolgt hat, spürt Begeisterung, Zögern und jede Menge Neugier, vor allem rund um ein glänzendes neues Feature: LXC-Container direkt aus OCI-Images erstellen. Für Uneingeweihte ist das im Grunde ein Weg, Docker-ähnliche Container in die Proxmox-Welt zu holen.

Das OCI-Feature ist aber nur die Spitze des Eisbergs. Von TPM-Anpassungen bis zu besserem SDN-Reporting gibt es einiges zu entpacken. Statt Ihnen einfach ein Changelog vor die Füße zu werfen, haben wir die Fragen gesammelt, die Sie über Proxmox 9.1 wirklich wissen wollen, und sie direkt beantwortet.

Was ist das Besondere an LXC-Containern aus OCI-Images? Ist das jetzt Docker?

So halb. Mit dem neuen Feature können Sie LXC-Container mit Images aus OCI-Registries hochziehen, also zum Beispiel aus Docker Hub. Ihr Docker-Setup sollten Sie aber noch nicht wegwerfen.

Aktuell ist es eine Tech-Preview, also experimentell und an den Ecken noch etwas rau. Sie können Images pullen und Container starten, aber komplexere Dinge wie docker-compose, natives Volume-Management oder vollständige Netzwerkkonfiguration fehlen noch. Man bekommt eher etwas Docker-Nahes mit Proxmox-Note als „Docker auf Proxmox".

Trotzdem ist es ein großer Schritt. Viele Nutzer konnten Grafana-, Nextcloud- oder Nginx-Container ohne großen Aufwand zum Laufen bringen. Andere stießen auf Grenzen, besonders wenn Container mehr als Umgebungsvariablen zur Konfiguration brauchten oder das geschichtete Dateisystemverhalten von Docker erwarteten.

Das Feature ist also vielversprechend. Wenn alles gut läuft, könnte es den Bedarf verringern, Docker innerhalb eines LXC oder einer vollen VM zu betreiben, bei besserer Ressourceneffizienz und ohne die Kontrollebene von Proxmox aufzugeben.

Ist dieses Update stabil? Sollte ich jetzt upgraden oder warten?

Der Konsens lautet: größtenteils stabil, mit Einschränkungen.

Nutzer, die bereits Version 9 einsetzen, berichten von einem reibungslosen Upgrade auf 9.1. Es gibt allerdings auch einige Horrorgeschichten über BIOS-Einstellungen, fehlgeschlagene Boots und mysteriöse Segfaults auf bestimmten Setups. Die meisten dieser Probleme scheinen mit hardwarespezifischen Eigenheiten zusammenzuhängen oder damit, dass Nutzer Schritte wie die pve8to9-Prüfungen übersprungen haben.

Ein Nutzer brachte es am besten auf den Punkt: „Ich arbeite lange genug in der IT, um zu wissen, dass man nie der Erste und nie der Letzte beim Upgrade sein sollte."

Wenn Sie noch auf 8.x sind, ist das Upgrade sicher, sofern Sie die Upgrade-Dokumentation bis aufs Wort befolgen. Lassen Sie es lieber bleiben, wenn Sie müde und unterkoffeiniert sind und es um 23 Uhr auf Produktionsnodes versuchen wollen.

Moment, was hat es mit den TPM-Änderungen auf sich?

Proxmox VE 9.1 fügt Unterstützung für TPM-Status im qcow2-Format hinzu. Das klingt nach einer Nische, ist aber für alle wichtig, die Windows-VMs mit Secure Boot oder anderen modernen Sicherheitsfeatures betreiben.

Relevant wird es vor allem, wenn Sie Snapshots von VMs erstellen oder VMs migrieren, die auf TPM angewiesen sind. In früheren Versionen spielten Snapshots und Backups mit TPM-fähigen Maschinen nicht immer gut zusammen, und jetzt lassen sich diese Daten ordentlich speichern.

Achtung: Von einer laufenden VM mit TPM können Sie zumindest vorerst keinen Snapshot erstellen. Sie müssen die VM zuerst herunterfahren.

Was ist sonst noch wirklich neu in 9.1?

Ein paar Punkte, die Sie interessieren könnten:

• Neue vCPU-Flags für feingranulare Kontrolle über verschachtelte Virtualisierung, was Dev/Test-Umgebungen zugutekommt.
• Verbessertes SDN-Status-Reporting, besonders wenn Sie die Software-Defined-Networking-Features von Proxmox nutzen.
• Verbesserungen an der Web-UI, darunter bessere Upgrade-Benachrichtigungen und besseres Container-Handling.
• Kernel-Updates, die Kompatibilität und Performance verbessern, aber ältere NFS-Client-Setups zerschießen können, wenn Sie nicht aufpassen.

Außerdem geht Proxmox jetzt besser mit /proc und /sys in verschachtelten Container-Umgebungen um. Das behebt ein Problem, das bestimmte Docker-Container davon abhielt, sauber innerhalb von LXC zu laufen.

Behebt das den Docker-in-LXC-AppArmor-Fehler?

Ja, allerdings hängt es von Ihrem Setup ab.

Die berüchtigte Kombination aus apparmor und runc, die Docker in LXCs kaputtmachte, war ein wiederkehrendes Problem, besonders für Nutzer von Debian 13. Das 9.1-Update hebt einige AppArmor-Beschränkungen auf, wenn Nesting aktiviert ist, und behebt das Problem damit für unprivilegierte Container.

Ein Proxmox-Bug war das übrigens nie. Der Fehler liegt upstream bei Docker/runc/AppArmor selbst. Als Workarounds dienten das Downgrade von runc, der Wechsel zu Alpine oder schlicht das Verschieben von Containern in VMs. Mit diesem Update verschwinden viele dieser Kopfschmerzen, solange Sie Ihre Container nach dem Update neu starten.

Sind VMs oder LXCs jetzt besser für Docker?

Die Debatte tobt weiter. Manche sagen, dass Docker in einer vollen VM (besonders auf Alpine) ihnen bessere Performance gebracht habe als LXCs. Andere halten dagegen, das dürfe eigentlich nie passieren, es sei denn, Ihr LXC ist falsch konfiguriert.

Ein Nutzer vermutete, dass eine sauberere Umgebung, CPU-Pinning und NUMA-Bewusstsein sein Docker-auf-VM-Setup spürbar flotter machten, als Docker-in-LXC es je war.

Am Ende kommt es auf Ihren Workload an. Für schnelle, unkomplizierte Webserver reicht LXC oft noch aus. Bei hohem I/O-Bedarf, Verschlüsselung oder enger Kernel-Kontrolle gewinnen weiterhin VMs.

Eine ausführlichere Aufschlüsselung, wann Sie zu reinem LXC, Docker-in-LXC oder Docker-in-VM greifen sollten, finden Sie in unserem LXC-vs-VM-vs-Docker-Entscheidungsleitfaden.

Ist das also ein Schritt in Richtung eines vollständigen Docker-Ersatzes in Proxmox?

Vielleicht irgendwann. Aktuell ist es eher ein Seitenschritt als ein vollständiger Ersatz.

Es gibt Hoffnung, dass künftige Versionen besseres Volume-Mapping, Container-Orchestrierung (denken Sie an ein Mini-docker-compose) und vielleicht sogar direkte Docker-API-Integration bringen. Heute baut das OCI-Feature von Proxmox vor allem eine klügere Brücke zwischen seiner Container-Engine und dem modernen Container-Ökosystem.

Worauf sollte man bei diesem Release sonst noch achten?

Ein paar Dinge:

• NFS-Stabilität: Manche Nutzer sahen Nodes unter starker NFS-Last mit dem neuen Kernel hängenbleiben, andere meldeten keinerlei Probleme. Wenn Sie stark auf NFS angewiesen sind, gehen Sie vorsichtig vor oder testen Sie zuerst.
• Boot-Prioritäts-Glitches: Eine Handvoll Leute fand nach dem Upgrade ihre BIOS-Boot-Prioritäten vertauscht vor.
• Snapshots laufender TPM-fähiger Windows-VMs werden noch nicht unterstützt, Sie müssen diese VMs also weiterhin herunterfahren.

Und wie immer gilt: Überspringen Sie nicht das pve8to9-Validierungsskript. Es kann alte Konfigurationen oder übrig gebliebene Pakete erkennen, die während des Upgrades Probleme verursachen könnten.

Kurz gesagt: Sollte ich auf 9.1 upgraden?

Wenn Sie Proxmox in einem Homelab oder einem unkritischen Setup betreiben, machen Sie es. Die neuen Features, besonders die OCI-Unterstützung, sind einen Blick wert.

Wenn Sie Produktions-Cluster verwalten, testen Sie zuerst und warten Sie ein, zwei Wochen, falls Sie es nicht eilig haben.

Und wenn Sie zu den Menschen gehören, die einen Nervenkitzel dabei verspüren, die Welt brennen zu sehen, upgraden Sie eben live um Mitternacht, ohne die Docs zu lesen. Sagen Sie nur nicht, wir hätten Sie nicht gewarnt.

Schlussgedanken

Proxmox VE 9.1 fühlt sich wie eine Brücke an zwischen dem, woher die Virtualisierung kommt, und dem, wohin sie sich entwickelt. Docker-artige LXC-Container, TPM-bewusste Snapshots und feinere SDN-Kontrollen deuten auf eine integriertere, containerfreundlichere Zukunft hin.

Im Moment ist diese Zukunft allerdings noch eine Preview. Wenn Sie gern mit neuem Spielzeug herumprobieren und Ihnen ein bisschen Trial-and-Error nichts ausmacht, ist dieses Release ein Spielplatz für Sie. Wenn Stabilität für Sie an erster Stelle steht, geben Sie ihm noch etwas Zeit.

Behalten Sie in der Zwischenzeit die OCI-Images im Auge. Proxmox will nicht Docker werden, versucht aber eindeutig, dieselbe Sprache zu sprechen.